Хакер использовал ИИ-стилер для фальшивых баг-баунти

Хакер применил автоматизированный инструмент на базе искусственного интеллекта, который собирал украденные данные и использовал их для подачи заявок на вознаграждения в рамках баг-баунти-программ.

Инструмент, называемый ИИ-стилером, сканировал публичные и частично защищённые репозитории, журналы и устройства, извлекал API‑ключи, токены и пароли, после чего формировал доказательства уязвимости и описание проблемы в формате, приемлемом для баг-баунти‑платформ. Операции выполнялись удалённо через интернет‑сервисы и платформы для совместной разработки кода.

По оценке специалистов по кибербезопасности, массовое применение таких инструментов началось в последние месяцы. Злоумышленник мог одновременно сканировать сотни источников, автоматически проверять работоспособность найденных данных и оперативно направлять заявки под разными аккаунтами. В ряде случаев одинаковые отчёты о тех же уязвимостях поступали от разных заявителей, что вызвало проверку модераторов платформ.

Техническая архитектура ИИ-стилера включала несколько модулей: парсер для поиска секретов в коде и логах, модуль проверки работоспособности найденных ключей и сервисов, а также генератор отчётов на основе языковых моделей, который формировал описание проблемы и доказательства в удобном для платформ виде.

Платформы, принимающие отчёты о багах, отреагировали на всплеск таких заявок. Некоторые сервисы ужесточили требования к проверке личности заявителей и к формату доказательств, другие ввели дополнительные фильтры для автоматических отчётов. Представители нескольких программ сообщили о временной блокировке подозрительных аккаунтов и о переводе заявок с необычной скоростью подачи и идентичными доказательствами на ручную верификацию.

Эксперт по безопасности, отказавшийся раскрывать имя, привёл пример: “Мы увидели серию заявок с одинаковой структурой и одинаковыми доказательствами, но с разных аккаунтов”. По его оценке, такие случаи указывали на использование автоматизированного инструмента, который собирает данные и формирует отчёты.

Юридические вопросы связаны с использованием украденных ключей для подтверждения уязвимостей. Представители программ вознаграждений напоминают, что правила большинства платформ запрещают эксплуатацию уязвимостей, которая приводит к повреждению систем или раскрытию личных данных, и что проверка через доступ к чужим данным может рассматриваться как неавторизованное вмешательство.

Специалисты по безопасности рекомендуют организациям внедрять автоматическое сканирование репозиториев на наличие ключей, ограничивать привилегии токенов и обеспечивать их регулярную ротацию, а также применять многофакторную аутентификацию для сервисов. Представители баг-баунти‑платформ сообщают о необходимости уточнения требований к доказательствам и введения дополнительных этапов проверки перед выплатой вознаграждений.

Ранее исследователи фиксировали случаи, когда автоматизация ускоряла обнаружение уязвимостей и одновременно увеличивала число недостоверных заявок. В настоящий момент модераторы и команды по безопасности фокусируются на проверке происхождения данных и на механизмах подтверждения авторства при подаче заявок.